如何基于用户输入在Tkinter+SQLite3中动态创建数据库表？

问题根源 #

SQLite的参数化占位符（?）仅支持数据值的替换，不能用于表名、列名这类SQL标识符。你直接用?代替表名，SQL解析器会把它当成普通值处理，从而触发语法错误，这就是报错sqlite3.OperationalError: near "?": syntax error的原因。

安全解决方案（匹配你的需求） #

要实现动态创建表且避免SQL注入，需先对用户输入的表名做严格合法性校验，再安全拼接SQL语句：

1. 表名校验函数 #

过滤不符合规则的表名，只允许字母、数字、下划线，且不能是SQL关键字：

import re

def is_valid_table_name(table_name):
    # 匹配字母/下划线开头，后续可跟字母/数字/下划线的合法表名
    valid_pattern = r'^[A-Za-z_][A-Za-z0-9_]*$'
    if not re.match(valid_pattern, table_name):
        return False
    # 排除SQLite保留关键字
    forbidden_keywords = {'CREATE', 'TABLE', 'SELECT', 'INSERT', 'UPDATE', 'DELETE', 'FROM', 'WHERE'}
    return table_name.upper() not in forbidden_keywords

2. 修正后的创建表函数 #

校验通过后，用双引号包裹表名（SQLite标准标识符写法）拼接语句，同时别忘了提交事务：

import sqlite3 as sql

def create_table(table_name):
    if not is_valid_table_name(table_name):
        raise ValueError("无效表名：仅允许字母、数字、下划线，且不能是SQL关键字")
    
    # 注意转义路径反斜杠，或用原始字符串r'路径'
    connection = sql.connect(f'{directory}\\main.sqlite')
    cursor = connection.cursor()
    
    # 用双引号包裹表名，确保标识符被正确解析
    cursor.execute(f'CREATE TABLE "{table_name}" (name TEXT, price REAL, url TEXT)')
    connection.commit()  # DDL操作必须提交事务才会生效
    connection.close()

核心说明 #

• 为什么能用f-string？因为已经通过校验拦截了所有恶意输入（比如; DROP TABLE xxx;这类注入语句），只有合法格式的表名才会进入拼接环节，完全避免SQL注入风险。
• 必须加connection.commit()：创建表属于数据定义语言（DDL）操作，SQLite默认需要手动提交事务才能让修改生效，你之前的代码缺少这一步，即使语法正确也可能创建表失败。
• 双引号包裹表名：是SQL标准中标识符的写法，能避免表名与SQL关键字冲突（即使校验已经排除了关键字，这是额外的安全层）。

内容的提问来源于stack exchange，提问作者Chris Ze Third